什麼是應用程式允許清單？

應用程式白名單是一種安全方法，只允許已核准的應用程式在系統上執行。本指南將探討應用程式白名單的原則、其優點，以及它如何強化安全性。

了解實作白名單的最佳實務，以及定期更新與監控的重要性。理解應用程式白名單對於組織防範未經授權的軟體與惡意程式至關重要。

什麼是應用程式允許清單？

應用程式允許清單是一種端點安全形式，可協助防止惡意程式在網路上執行。它會即時監控作業系統，以防止未經授權的檔案被執行。

根據 NIST SP 800-167，應用程式允許清單是：「根據明確定義的基準，獲授權存在於主機上或在主機上處於作用中狀態的應用程式與應用程式元件（程式庫、組態檔等）清單。」透過使用應用程式允許清單技術，組織可防止 malware 與其他未經授權的軟體在終端使用者裝置與網路上執行。

應用程式允許清單讓管理員與組織能控制哪些程式可以執行。任何未被明確列入允許清單的程式，都會自動列入封鎖清單。

應用程式允許清單與應用程式白名單

雖然「應用程式允許清單」與「應用程式白名單」指的是同一件事，但在描述這項安全能力時，較建議使用應用程式允許清單這個用語。

根據英國的 National Cyber Security Centre，將「白」等同於「良好、允許與安全」，並將黑等同於「不良、危險與禁止」是有問題的，尤其是在已有另一個較不含糊的詞彙可用來描述相同行為時。

封鎖清單與黑名單

「封鎖清單」（或拒絕清單）與「黑名單」也是相同情況。雖然在資安領域中，使用「黑名單」一詞來描述不受歡迎的屬性曾經很常見，但現在較偏好使用中性的「封鎖清單」。

應用程式允許清單如何運作？

應用程式允許清單涉及在電腦系統上指定允許或核准的軟體應用程式索引，以保護系統免受可能有害的應用程式侵害。第三方供應商可以提供這份核准應用程式清單，或將其內建於主機作業系統中。

透過應用程式允許清單，組織可以防止安裝與執行未被明確授權的應用程式。允許清單軟體會將任何嘗試在網路上執行的應用程式，與允許的應用程式清單進行比對。若該應用程式位於允許清單中，便可繼續執行。

網路管理員通常是決定允許哪些應用程式的人，如此一來，他們便能嚴格控管系統安全，並將可參與資安決策流程的人數降到最低。

不同於使用封鎖清單來防止已知「不良」活動並允許其他所有活動的防毒軟體，允許清單技術會允許已知「良好」活動並封鎖其他所有活動。最終，這種做法有助於降低各種威脅，包括惡意程式以及未經授權或可能存在弱點的軟體。

由於現今許多以惡意程式為基礎的威脅都是客製化且具針對性的，因此應用程式允許清單有助於阻止惡意程式被安裝或執行。有時候，應用程式允許清單技術在防止未知惡意程式方面，可能比防毒軟體更有效。

除了封鎖未經授權的應用程式外，應用程式允許清單軟體還會即時監控作業系統，防止未經授權的檔案被執行。除了單純阻止不需要的應用程式執行之外，應用程式允許清單還會對應用程式安裝套件進行細緻檢查，以驗證檔案的完整性。

應用程式允許清單是保護組織端點的一個簡單但有效的步驟。透過確保終端使用者只能安裝已核准的應用程式，管理員可以在惡意程式造成無法彌補的損害之前加以阻止。

在實作應用程式允許清單時，務必確保只有受信任的應用程式可在您的系統上執行。像是 Singularity XDR 這類解決方案可提供即時監控與延伸式偵測能力，確保您的允許清單原則能在所有端點上有效落實。

Report

Leading the Way in Endpoint Security

See why SentinelOne has been named a Leader four years in a row in the Gartner® Magic Quadrant™ for Endpoint Protection Platforms.

Read Report

應用程式允許清單與封鎖清單

封鎖清單軟體會使用預先定義的「不良」應用程式清單，通常將任何嘗試在網路上執行的應用程式與封鎖的應用程式清單進行比對。若該應用程式不在封鎖清單上，便可繼續執行。

例如，傳統防毒軟體會使用封鎖清單來防止已知惡意程式在電腦系統上被執行。由於應用程式允許清單會拒絕未列出的應用程式，而應用程式封鎖清單會允許未列出的應用程式，因此應用程式允許清單可說是比應用程式封鎖清單更安全。

應用程式允許清單與應用程式控制

「應用程式允許清單」與「應用程式控制」經常被交替使用，但兩者並不總是代表相同意思。雖然這兩種技術都能防止未經授權的應用程式，但應用程式允許清單比應用程式控制更為嚴格。

應用程式控制 與應用程式允許清單類似，因為它可以防止未經授權的應用程式被安裝到 端點。

但是，這項技術本身有兩個重大限制。首先，應用程式控制是在安裝套件層級運作，這表示它無法防止終端使用者執行已安裝在系統上的應用程式或獨立的可執行檔。

其次，應用程式控制工具不一定會在細緻層級檢查應用程式安裝套件。相反地，它們只會驗證該應用程式是否被允許。一個 threat actor 可能會將未經授權的程式碼安裝到原本合法的應用程式套件中，以繞過應用程式控制工具。

應用程式允許清單類型

不同的應用程式允許清單類型，在安全性、可用性與可維護性之間提供不同的平衡。包括以下幾種：

1. 檔案路徑

檔案路徑是最一般性的屬性，允許具有特定路徑（即目錄或資料夾）的所有應用程式。檔案路徑可能是較弱的屬性，因為它允許該目錄中的任何惡意檔案被執行。然而，如果嚴格的存取控制只允許管理員新增或修改檔案，檔案路徑就能成為較強健的屬性。

檔案路徑也可能帶來好處，因為不需要將路徑中的每個檔案分別列出，這可減少每次新增應用程式與修補程式時更新允許清單的需求。

2. 檔名

檔名本身通常是過於一般化的屬性。例如，如果檔案遭到感染或被替換，其名稱不太可能改變，而該檔案仍會在允許清單下執行。

此外，威脅行為者可能會使用與標準良性檔案相同的名稱，將惡意檔案放置到主機上。由於這些弱點，檔名屬性最適合與其他屬性搭配使用，例如檔案路徑或數位簽章屬性。

3. 檔案大小

透過監控應用程式的檔案大小，管理員會假設惡意版本的檔案大小會與原始版本不同。

然而，威脅行為者通常會刻意製作惡意檔案，使其與對應的良性檔案具有相同大小。其他屬性，包括數位簽章和加密雜湊，可能更能識別檔案，並且在可能的情況下應優先使用，而非檔案大小。

4. 加密雜湊

只要所使用的密碼技術足夠強大，且該應用程式檔案的加密雜湊即可提供可靠且唯一的值，前提是這個 hash 已經與「良好」檔案建立關聯。無論檔案位於何處、名稱為何，或如何簽署，加密雜湊通常都很準確。

然而，當檔案更新時，加密雜湊的幫助較小。例如，在為應用程式套用修補程式時，修補後的版本將具有不同的雜湊值。在這些情況下，修補程式可能會透過其數位簽章以及新增至允許清單的加密雜湊而顯得合法。

5. 數位簽章與發行者

如今，許多發行者會對應用程式檔案進行數位簽署。數位簽章可為接收者驗證應用程式檔案提供可靠且唯一的值，並可讓團隊確保檔案合法且未遭竄改。

然而，部分發行者不會對應用程式檔案進行簽署，因此僅使用發行者提供的數位簽章通常不可行。有些應用程式允許清單可根據發行者身分建立，而不是驗證個別數位簽章。儘管如此，這種方法假設組織可以信任來自受信任發行者的所有應用程式。

應用程式允許清單的優點與限制

應用程式允許清單具有多項優點與限制。

優點

應用程式允許清單的主要優點是，它有助於阻止惡意軟體和 ransomware 進入網路並在其中執行。由於應用程式允許清單比封鎖清單更具限制性，終端使用者在安裝不在組織允許清單中的程式之前，將需要取得管理員許可。要求未經授權的應用程式先獲得核准，有助於防止惡意程式安裝到端點上。

應用程式允許清單的主要優點包括以下幾點：

• 防止惡意軟體與未知威脅
• 建立軟體清冊
• 事件回應 支援
• 檔案監控

缺點

應用程式允許清單的一項關鍵限制是，它們可能會為安全團隊帶來額外工作。例如，編製初始允許清單需要取得有關終端使用者工作內容以及執行這些工作所需應用程式的詳細資訊。

同樣地，由於應用程式與企業技術堆疊日益複雜，維護允許清單可能需要花費時間。

與應用程式允許清單相關的一些主要缺點包括以下幾點：

• 難以實作
• 影響終端使用者
• 範圍限制
• 勞力密集

Discover Unparalleled Endpoint Protection

See how AI-powered endpoint security from SentinelOne can help you prevent, detect, and respond to cyber threats in real time.

Get a Demo

應用程式允許清單最佳實務

1. 稽核網路

   乾淨的系統可透過搭配外部儲存裝置進行徹底掃描而受益，以偵測哪些應用程式與程序對最佳化營運至關重要。
   掃描網路元件可協助網路管理員建立穩固的基準，以判定哪些程式必須被接受。網路稽核也有助於清除網路上已在執行的不必要或惡意應用程式。

2. 將受信任的應用程式與特定管理工具加入允許清單

   建立允許或核准的應用程式與特定管理工具清單，並將其分類為必要與非必要。根據重要性排列應用程式優先順序，有助於判定哪些應用程式對業務功能至關重要，哪些則只是加分項。

3. 記錄存取政策

   接著，制定一項存取政策，概述一組規則，讓只有符合特定條件的使用者才能使用其所需的應用程式。為允許清單中的團隊成員設定不同的存取層級，有助於簡化網路存取並協助管理應用程式允許清單。

4. 檢查發行者

   存在多種未授權且不安全的應用程式，其中許多可能會感染 Web 應用程式與網路。在將其安裝到電腦之前驗證發行者的真實性，有助於降低威脅行為者利用未知弱點的機率。

5. 將雲端與地端應用程式都加入允許清單

   檢視地端與雲端型應用程式，有助於確保允許清單涵蓋所有面向。完整的軟體清冊應提供對每個端點與伺服器上所有應用程式和程序的全面可視性。
   有了這些資訊，安全團隊可能更能識別未經授權的應用程式或過時軟體。

6. 更新允許清單

   持續更新允許清單對於避免工作流程中斷至關重要。由於開發人員經常因舊版中的弱點而發布應用程式更新版本，更新允許清單有助於確保其符合軟體的最新版本。
   若未定期更新允許清單，可能會導致損害或中斷，因為應用程式可能無法有效運作。

7. 使用其他資安措施

   如今，若要防禦動態變化的威脅行為者對系統與網路發動攻擊，部署不只單一一種資安方法已成為必要。實施多種安全技術是確保強大防禦的最佳方式。
   與其僅依賴應用程式允許清單，不如加入其他資安方法，例如 DNS 過濾、電子郵件安全、修補程式管理、防毒軟體、以及 延伸式偵測與回應 平台，以涵蓋任何潛在缺口。

幸運的是，應用程式允許清單通常能與其他資安措施良好整合，因此組織可以結合不同工具，以滿足其獨特的網路與系統需求。

應用程式允許清單範例與使用案例

應用程式允許清單是一種主動式維護網路安全的方法，其主要目的是提供應用程式存取控制。不過，組織也可以將應用程式允許清單工具用於其他用途，包括：

• 建立軟體清冊：大多數應用程式允許清單技術可協助組織維護端點與伺服器上的應用程式及應用程式版本清單。軟體清冊可協助組織快速識別未經授權的應用程式（即未授權、遭禁止、過時、未知或已修改的應用程式）。對雲端型與地端應用程式的可視性也可支援鑑識調查。

• 監控檔案完整性：許多應用程式允許清單工具可持續監控變更應用程式檔案的嘗試。有些應用程式允許清單技術可防止檔案遭到變更，而其他工具則可在變更發生時立即回報。

• 事件回應：應用程式允許清單也可協助組織回應安全事件。例如，若組織能擷取惡意檔案的特徵，也可使用應用程式允許清單工具比對其他主機上是否存在相同檔名，以判斷它們是否已遭入侵。

應用程式允許清單工具與軟體

考慮採用應用程式允許清單工具的組織，應先分析主機將運行的環境。

應用程式允許清單解決方案通常最適合用於專門安全限制功能（SSLF）環境中的主機，這類環境因遭受攻擊或資料外洩風險高而具有高度限制性與安全性。同時也必須記住，應用程式允許清單需要專責人員來管理與維護該解決方案。

接著，組織可以考量哪些應用程式允許清單工具最適合其環境。對於集中管理的主機（例如桌上型電腦、筆記型電腦與伺服器），由於管理這些解決方案相對容易且成本較低，作業系統內建的應用程式允許清單技術可能最為實用。

如果內建的允許清單功能不適用或無法使用，則具備強大集中管理能力的第三方解決方案會是次佳選擇。

Protect Your Endpoint

See how AI-powered endpoint security from SentinelOne can help you prevent, detect, and respond to cyber threats in real time.

Get a Demo